Checklist do Acordo de Tratamento de Dados (DPA) para startups
Nos termos do Artigo 28.º do RGPD, sempre que outra empresa trata dados pessoais em teu nome — ou tu os tratas para um cliente — é preciso assinar um DPA antes de os dados começarem a circular. Não existe isenção por seres “pequeno demais”.
Precisas de um DPA?
És responsável pelo tratamento
És subcontratante
Qualquer relação de dados na UE/EEE
O que um DPA conforme deve conter
Objeto, duração, natureza e finalidade do tratamento — além dos tipos de dados pessoais e categorias de titulares.
Tratamento apenas mediante instruções documentadas do responsável.
Compromissos de confidencialidade de todos os autorizados a tratar os dados.
Medidas de segurança adequadas ao risco (Artigo 32.º).
Controlo de subcontratantes ulteriores — autorização prévia e transmissão das mesmas obrigações.
Apoio no exercício dos direitos dos titulares (acesso, retificação, apagamento, oposição).
Apoio em segurança, notificação de violações e avaliações de impacto (Artigos 32.º–36.º).
Devolução ou eliminação de todos os dados pessoais no fim do serviço, incluindo cópias.
Direitos de auditoria e inspeção para demonstrar conformidade.
Garantias para transferências internacionais — Cláusulas Contratuais-Tipo (CCT) ou decisão de adequação para dados que saiam do EEE.
Uma lista atual de subcontratantes e um processo de notificação de alterações (geralmente em anexo).
Uma descrição das medidas técnicas e organizativas de segurança em vigor (geralmente em anexo).
